https://doi.org/10.14232/forvmaip.2025.2.237-256
Jelen tanulmányunkban az infokommunikációs technológiák (IKT) közül a mesterséges intelligencia alkalmazásával a gyermekek adatvédelmére vonatkozó hatások kezelését célzó, a francia adatvédelmi hatóság[1] aktuális ajánlásait vizsgáljuk.
A mesterséges intelligencia (MI) a szó szoros értelmében nem minősül új technológiának. Az eredetileg 1955-ben a Dartmouth-i workshopon[2] körvonalazott megoldás fejlesztése azonban a 2000-es évektől kapott új lendületet, és kijelenthetjük, hogy napjainkra az egyik uralkodó technológiává vált.[3] Az MI alapú algoritmusoknak több fajtája is van, sőt léteznek egyszerű algoritmusok MI nélkül is. Azonban az MI egyik fő jellemzője, hogy bármely más IKT technológiával jól kombinálható, így az okoseszközökkel a tárgyak internete (Internet of Things - IoT) köréből, a Big Data és a felhőalapú számítási rendszerekkel (cloud computing), valamint a közösségi média platformokkal.[4] A technológiák kombinálása növeli azok működési hatékonyságát, ebből kifolyólag nem csak az egyes szakmák művelői találkozhatnak MI alapú algoritmuson alapuló megoldásokkal,
- 237/238 -
hanem a hétköznapi emberek is. Köztük azok a 18 éven aluli kiskorúak is, akik a digitális korszak gyermekei, mivel a 21. században egy technológia uralta korszakba születnek, ahol az analóg megoldások egyre inkább eltűnőben vannak.
A technológia korai alanyai és alkalmazói a gyermekek, mivel már magzatkorban nagy számban kerülnek nyilvánosságra róluk személyes adatok a különböző technológiák segítségével. A 2000-es évektől kezdve számos kutatás foglalkozott azzal, hogy az ebben a korszakban született személyek kisgyermekkoruktól kezdve hozzáférhetnek a digitális technológiákhoz, azokat mindennapi életük elengedhetetlen részeként aktívan használják. Már egy 2010-ben, a 2 és 5 év közötti gyermekek szülei körében végzett felmérés is azt mutatta, hogy több gyermek tudta hogyan kell számítógépes játékokkal játszani, mint úszni vagy kerékpározni.[5] Az azóta eltelt időszakban - különösen a Covid-19 pandémia következtében - az MI alapú technológiák nem csak a szórakozás, de a tanulás, az információszerzés, a vásárlás, vagy akár a különböző szolgáltatások igénybevételének bevett eszközévé váltak a kiskorúak körében is.[6]
Az MI működésének alapvető feltétele az adat. Az MI-fejlesztések terén tapasztalható ugrásszerű fejlődés egyik fő oka napjainkban éppen a hatalmas mennyiségű adathalmazok rendelkezésre állása, és az adatok feldolgozására alkalmas megnövekedett számítási teljesítmény.[7] Az MI segítségével hatékonyabbá válik a (személyes) adatok és az azokból levonható további következtetések gyűjtése és kezelése. Mindezek alapján az MI alkalmazása során megkerülhetetlen szempont a személyes adatok védelmének garantálása.
Korábbi munkáinkban foglalkoztunk az MI alkalmazásával járó, a 18. életévüket be nem töltött, gyermekkorúak személyes adatai kapcsán felmerülő adatvédelmi kockázatokkal, amelyek kezelésére szolgáló eszközöket vizsgáltuk egyrészről az Egyesült Nemzetek Szervezete keretében,[8] másrészről az Európai Unió adatvédelmi rendelete alapján.[9] Ugyanakkor számos európai állam nemzeti jogában fellelhető a témában releváns nemzeti iránymutatás és szabályozás, ahol a gyakorlat számára is hasznos javaslatok kerültek megfogalmazásra. Jelen tanulmány célja a rendkívül aktív francia adatvédelmi hatóság témában releváns ajánlásainak és iránymutatásainak elemzése. A GDPR hatályba lépése óta ugyanis mintaként szolgálhat azon tevékenysége, amely kifejezetten a kiskorú adatalanyok, illetve az adatkezelők adatvédelmi tudatosságát célozza. Mindezek alapján a kutatás a francia adatvédelmi hatóságnak a témában született ajánlásaira koncentrál, és a gyakorlatban is hasznosítható javaslatok azonosítására vállalkozik.
- 238/239 -
Az egyes európai államok nemzeti jogának vizsgálata során előre bocsátandó, hogy az Európai Unió általános adatvédelmi rendelete (GDPR)[10] képezi a nemzeti szabályozás során a legfőbb háttérjogszabályt az uniós tagállamokban, így Franciaországban is. Rendelet lévén jogforrási jellegéből fakadóan a további nemzeti szabályozásoknak összhangban kell lenniük a rendelkezéseivel. A GDPR az Európai Gazdasági Térség három nem uniós államában is alkalmazandó, mivel azt Norvégia, Liechtenstein és Izland is elfogadta magára nézve kötelezőként az EGT Vegyes Bizottság 154/2018 határozata alapján.[11]
Fontos kiemelni, hogy a GDPR minden élő, a kezelt információ alapján azonosított vagy azonosítható természetes személy számára biztosítja a személyes adatai védelmét, Európában mindezt alapjogként.[12] Így természetesen a gyermekeknek is joguk van a személyes adataik védelméhez. Az is megállapítható, hogy ezzel párhuzamosan az uniós jogi aktus nem kívánja megfosztani a gyermekeket azoktól a jogoktól, amelyekkel a felnőtt adatalanyok rendelkeznek. A rendelet mintegy tíz helyen említi a gyermekeket, azonban az általános célkitűzés a GDPR (38) preambulumbekezdésében található: "A gyermekek személyes adatai különös védelmet érdemelnek, mivel ők kevésbé lehetnek tisztában a személyes adatok kezelésével összefüggő kockázatokkal, következményeivel és az ahhoz kapcsolódó garanciákkal és jogosultságokkal."[13] A GDPR tehát egy fokozottabb, ún. "különös védelmet" rendel a számukra.
Témánk jelentőségét adja, hogy a gyermekek maguk is hajlamosak megosztani személyes vagy érzékeny természetű információkat egy MI alapú alkalmazással, pl. tanulási problémákat, családi helyzetet vagy érzelmi kérdéseket. A kockázatok különösen jelentősek azon gyermekek esetében, akik folyamatosan kapcsolatban vannak az MI-rendszerekkel.[14] Az olyan eszközök, mint pl. az MI szoftverrel felszerelt ún. Loona és a Rux robotok, ösztönzik a ChatGPT-vel való beszélgetésszerű interakciókat, és a programot társnak, sőt jól tájékozott barátnak állítják be. Ez a dinamika nem csak adatvédelmi, hanem pszichológiai aggályokat is felvet.[15]
- 239/240 -
A következőkben a francia adatvédelmi hatóság (Commission Nationale de l'Informatique et des Libertés - CNIL) témánk szempontjából releváns iránymutatásait vizsgáljuk adatvédelmi szempontból.
A CNIL 2021 június 9-én adta ki ajánláscsomagját a kiskorúak digitális védelme kapcsán. A dokumentum a fiatalok körében végzett széleskörű közvéleménykutatás és nemzeti konzultáció eredményeként született és nyolc ajánlást tartalmaz.[16] A gyermekek személyes adatainak védelmét a cselekvőképesség és szerződéskötési képesség irányából közelíti meg, amellyel összhangban az 1. számú ajánlás a gyermekek online cselekvőképességének szabályozására fókuszál. A GDPR érelmében a tagállamok szerződésekre vonatkozó nemzeti szabályai alkalmazandók a technológiák igénybevételéhez szükséges regisztrációra, vagyis a szerződéskötés és annak érvényessége megítéléséhez.[17] A francia polgári jog értelmében a 18 év alatti kiskorúak szerződéskötési képesség szempontjából cselekvőképtelennek minősülnek.[18]
Az 1978-as francia adatvédelmi törvény[19] 45. cikke értelmében a 15 éven aluli kiskorú személyes adatainak kezeléséhez az érintett kiskorú és a szülői felügyeleti jogot gyakorló közös hozzájárulása szükséges, így gyermekek nem regisztrálhatnak önállóan közösségi média platformokra.[20] A 15 év feletti kiskorú egyes adatkezelésekhez önállóan adhat hozzájárulást, így az online tevékenységek körében a sütik, a profilja láthatóságának (privát vagy publikus fiók) beállításához, illetve a földrajzi helymeghatározás aktiválásához, amelyek 15 éves kor alatt csak közös hozzájárulással történhetnek. A 15. életév elérése azonban még nem egyenlő a digitális felnőttkor elérésével, hiszen a közösségi média platformon, illetve egyéb technológia igénybevételéhez szükséges regisztrációra ekkor sem terjed ki a gyermek cselekvőképessége. Ekkor főszabály szerint továbbra is a kiskorúakra vonatkozó rendelkezések alkalmazandók és a szülői felügyeleti jogkör gyakorlójának hozzájárulása szükséges.[21]
Mindemellett a francia polgári jog is ismeri azt a kivételt, amely szerint a kiskorú egyedül is köthet a mindennapi élet szokásos szükségleteinek fedezése körébe tartozó kisebb jelentőségű szerződéseket,[22] amelyek kockázattal nem járnak.[23] A kivétel alkalmazhatóságának megítéléséhez a bíróság mindenekelőtt mérlegeli a gyermek mindenek
- 240/241 -
felett álló érdekét, továbbá a szerződés ügyértékét, a gyermek és a családjának szokásait, valamint a szerződéskötéssel járó kockázatokat. A CNIL az alkalmazandó nemzeti jog áttekintését követően arra a következtetésre jutott, hogy a 15 éven felüli gyermekek önállóan köthetnek online szolgáltatások igénybevételéhez kapcsolódó szerződéseket, az alábbi feltételekkel:
- a szolgáltatás gyermek közönség számára megfelelő,
- az adatkezelés szigorúan megfelel a GDPR-ban és a francia adatvédelmi törvényben foglalt adatvédelmi előírásoknak,
- annak érdekében, hogy a kiskorú megértse a kötelezettségvállalásának jelentőségét és terjedelmét, a gyermeket el kell lássák egyértelmű és megfelelő adatvédelmi tájékoztatással,
- a szülőknek jogában áll a gyermekük felhasználói fiókjának törlését kérni, ha azt a gyermek mindenek felett álló érdeke védelme miatt szükségesnek ítélik meg.[24] Mindazonáltal a CNIL álláspontja szerint még ezek a feltételek sem teszik lehetővé a gyermekek és az online szolgáltatók számára, hogy automatikusan a felnőttkorú felhasználókkal azonos módon lépjenek szerződéses jogviszonyba.[25]
Ehhez kapcsolódik a 4. számú ajánlás, amely a személyes adatok kezeléséhez való hozzájárulás jogalapjának körülményeit tisztázza, szoros összefüggésben az 1. ajánlásban foglalt cselekvőképesség megítélésével. A 15 év alatti kiskorú gyermek esetén az érintett gyermek és a szülő közös hozzájárulására van szükség, a gyermek életkorát és fejlettségét figyelembe véve.[26] Az a polgári jogból fakadó elv alkalmazandó, amely szerint a gyermeket az őt értintő döntésekbe be kell vonni.[27] Fontos kiemelni, hogy a közös hozzájárulás feltételezi a szülő és a gyermek közötti egyetértést, vagyis más szóval a szülő önállóan a gyermek akarata ellenére nem járhat el, mint ahogyan a gyermek sem a szülői tiltakozás ellenére. A CNIL álláspontja szerint a digitális technológiák szolgáltatóinak az adatkezelésük jogszerűségéhez a szülői felügyeleti jogot gyakorló szülők közül elegendő az egyik szülő hozzájárulásának beszerzése. Ekkor a másik szülő hozzájárulását vélelmezik, kivéve, ha ő kifejezetten tiltakozik az adatkezeléssel szemben.[28] Az MI-rendszereknél a hozzájárulás kérdése különösen fontos, mivel ezek profilalkotást végezhetnek a megadott adatok alapján, viselkedéselemzést vagy személyre szabott tartalmakat generálnak.
A 2. számú ajánlás a gyermekek érintetti joggyakorlására fókuszál.[29] Franciaországban főszabály szerint a szülői felügyeleti jogot gyakorló (szülő vagy gyám) gyakorolja a gyermek információs jogait, így különösen a hozzáféréshez, a helyesbítéshez, a törléshez-
- 241/242 -
és a tiltakozáshoz való jogot. Az érintetti jogok gyermekek által történő gyakorlásának elfogadottságát erősíti, hogy maga a GDPR is előírja a gyermekek tájékoztatását az adatvédelemmel összefüggő jogaikról, mindezt az életkoruknak és fejlettségüknek megfelelő módon. A rendelkezés értelmezésével megállapítható, hogy a jogalkotó célja, hogy minden érintett megértse jogai tartalmát, így a gyermekek is, és mindezek alapján képesek legyenek gyakorolni az érintetti jogaikat. Hasonlóképpen, a GDPR felhatalmazza a gyermekeket arra, hogy önállóan hozzájáruljanak személyes adataik bizonyos típusú kezeléséhez.[30] Ellentmondáshoz vezetne, ha ezután nem gyakorolhatnák a kapcsolódó érintetti jogaikat, pl. az olyan adatok esetében, amelyeket ők maguk osztottak meg a technológia segítségével. Ez az álláspont következik a francia adatvédelmi törvény szelleméből is, hiszen a törvény 1. cikke rögzíti az információs önrendelkezési jogot, melynek értelmében minden egyes természetes személynek képesnek kell lennie a saját adatai felett rendelkezésre. A kiskorúak esetében különös fontossággal bír ez a jog, annak érdekében, hogy tudatos és felelős digitális állampolgárokká váljanak, amely magában foglalja a jogaik megismerését és gyakorlásuk megtanulását. A CNIL szerint a gyermekek magánélethez és szólásszabadsághoz való joga[31] a gyakorlatban csak akkor tud érvényesülni, ha a gyermekek is fel vannak ruházva bizonyos eljárási lehetőségekkel. Ez az álláspont teljes egészében összehangban áll az ENSZ Gyermekjogi Bizottság 25. számú Általános kommentárjának érintetti joggyakorlásról rendelkező 72. pontjával.[32] Ugyanakkor a CNIL álláspontja szerint a gyermek önálló jogérvényesítési képessége nem írja felül a szülők azon jogosultságát, hogy ugyanezeket a jogokat gyermekük nevében gyakorolják, és támogatást nyújtsanak a folyamat során.[33]
Amennyiben a gyermek életkora, fejlettsége alapján képes megérteni jogainak tartalmát, akkor bizonyos hétköznapi helyzetekben (pl. saját tartalom törlése egy platformról) közvetlenül is gyakorolhatja azokat. A gyermekek közvetlen érintetti joggyakorlása különösen kardinális kérdés a digitális autonómiájuk kapcsán, annak lehetővé tétele valós és sürgős igényt elégít ki pl. az internetes zaklatás növekvő kockázatát tekintve.
Ez a megközelítés az MI-rendszerekre is vonatkozik, amikor a zaklatás alapja egy, a kiskorúval kapcsolatos és akár az MI segítségével manipulált tartalom. Továbbá releváns az MI alapú szolgáltatások, chatbotok vagy ajánlórendszerek igénybevétele során, ahol a felhasználó és a rendszer közötti interakció személyes adatokat generálhat. A gyakorlatban egy gyermekeknek szánt MI alapú chatbot pl. nem gyűjthet korlátlanul beszélgetési adatokat a modell fejlesztéséhez; egyértelmű tájékoztatás kell nyújtani arról, hogy a beszélgetésekből származó adatok milyen célra kerülnek felhasználásra; biztosítani kell az inputként bekerülő adatok törlésének lehetőségét.[34]
- 242/243 -
A 3. számú ajánlás a szülők digitális edukációját helyezi a középpontba, mivel szerepük kulcsfontosságú a gyermekek digitális oktatásában is. A szülői felügyeleti jogot gyakorló a gyermek jogainak védelmezője kell legyen, aki ennek során a gyermek mindenek felett álló érdekét tartja szem előtt. A hatóság a 2. ajánlással kapcsolja össze a 3. ajánlásban foglaltakat, a két tényezőnek egymással párhuzamosan célszerű megvalósulnia. A cél, hogy a gyermekek fokozatosan váljanak képessé a digitális világ és az abban megjelenő feltörekvő technológiák biztonságos megismerésére. Ez azonban csak akkor valósulhat meg, amennyiben a szülők is megfelelő ismeretekkel és adatvédelmi tudatossággal rendelkeznek ezen technológiákról.[35] A CNIL digitális oktatási kezdeményezése, a 2013-ban létrehozott és azóta is folyamatosan működő "Educnum"[36] mellett további projekteken keresztül valódi ún. digitális állampolgári kultúra kifejlesztésén dolgozik más nemzeti szabályozó hatóságokkal közösen.[37]
Az 5. számú ajánlás az online tevékenységek szülői felügyelete körében tartalmaz fontos javaslatokat. Franciaországban még mindig kevés szülő alkalmaz szülői felügyeleti megoldásokat, egyrészről, mivel nem bíznak azok hatásosságában, vagy túl komplexnek és bonyolultnak ítélik meg azokat, vagy pedig nem tudnak azok létezéséről.[38] A szülői felügyeleti eszközök alkalmazásának árnyoldala, hogy adott esetben indokolatlanul nagy mennyiségű személyes adatot igényelnek a gyermekről. Ez túlzott mértékű beavatkozást jelent a gyermek magánszférájára nézve, különösen pl. a gyermek digitális tevékenységének vagy tartózkodási helyének folyamatos nyomon követése révén. A szülői felügyeleti eszközök lehetséges kockázata, hogy alááshatják a szülő és a gyermek közötti bizalmat, illetve csorbíthatják a gyermek önállóságát: az állandó felügyelet miatti nyomás érzése arra késztetheti a kiskorút, hogy cenzúrázza magát. Mindez korlátozhatja a véleménynyilvánítás-, az információhoz való hozzáférés szabadságát és a kritikus gondolkodás fejlődését. Végső soron a kiskorú hozzászokik ahhoz, hogy állandó felügyelet alatt áll, ezért nincs tisztában magánéletének egy demokratikus társadalomban képviselt egyéni és kollektív értékével.[39]
A fentiek elkerülése okán a megfelelő szülői felügyeleti megoldásnak telj es egészében meg kell felelnie az adatvédelmi szabályoknak. Elsősorban arányosnak kell lennie a gyermek érdeklődését, életkorát és érettségét is figyelembe véve, lehetőleg elkerülve a folyamatos nyomon követést. Az átláthatóság elve alapján a gyermeknek is ismernie kell az alkalmazott szülői felügyeleti módszert. Az adott felügyeleti megoldásnak az adatbiztonságot is garantálnia kell, hogy jogosulatlan harmadik fél ne férhessen hozzá a gyermekekről kezelt személyes adatokhoz. A CNIL abban is aktívan részt kívánt vállalni, hogy
- 243/244 -
az elérhető felügyeleti módszereket értékelje más hatóságokkal és a szolgáltatást nyújtókkal közösen, és egy listát adjon ki a megbízható és az uniós adatvédelmi rendelettel kompatibilis felügyeleti módszerekről.[40]
A 6. számú ajánlás a megfelelő tájékoztatást hangsúlyozza.[41] A GDPR az érintetti jogok között szabályozza a megfelelő információk nyújtását, amely adatkezelői kötelezettség.[42] Az adatkezeléssel kapcsolatos bármilyen tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világos és közérthető nyelven megfogalmazva kell nyújtani, különösen a gyermekeknek címzett bármely információ esetében. A tájékoztatás vizuálisan is megjeleníthető, amelynek akkor lehet kiemelt jelentősége, amikor az adatkezeléshez összetett technológiát alkalmaz az adatkezelő.[43] A gyakorlat azonban többnyire azt mutatja, hogy a feltörekvő technológiák kapcsán vagy hiányzik a tájékoztatás,[44] vagy túlságosan általános, illetve nem felel meg a közérthetőség követelményének. A megfelelő, előzetes tájékoztatás az adatkezelés lehetséges jogalapjai közül az érvényes hozzájárulás előfeltétele, valamint elengedhetetlen az érintetti joggyakorláshoz is. Amennyiben az érintett gyermek nem tud az érintetti jogainak létezésről, vagy nem érti meg azok lényegét (pl.: a hozzájárulás visszavonásához vagy a törléshez, illetve elfeledtetéshez való jog), abban az esetben nem is kerül sor az érintetti joggyakorlásra.
A gyermekek hatékony tájékoztatása érdekében 2022 folyamán kezdődött a francia és a dél-koreai (PIPC) adatvédelmi hatóságok együttműködése "Your data, your rights", vagyis a te adatod, a te jogaid címmel. Ennek keretében ún. webtoon posztereket készítenek, amely ötvözi a képregények és a manga rajzok világát, érdekes és érthető módon mutatva be az adatvédelem legfontosabb alapfogalmait, segítve a fiatalokat abban, hogy megértsék a személyes adataikkal kapcsolatos jogaikat.[45] A franciául, angolul és koreaiul elérhető poszterek azóta annyira nagy népszerűségnek örvendenek, hogy 2025-ben a brazil adatvédelmi hatóság (ANPD) is bekapcsolódott az együttműködésbe.[46] A poszterek letölthetők oktatási és nem kereskedelmi céllal, az eredeti szerzőt megjelölve, azzal, hogy a tartalmat semmilyen módon nem módosítják.[47]
A CNIL a kiskorú adatalanyok esetén továbbá hangsúlyozta a manipulatív design, az ún. dark patterns tilalmát.[48] A releváns tájékoztatás időbeliségét tekintve azt akkor kell
- 244/245 -
megadni, amikor érintetti döntéshozatalra kerül sor, mindezt interaktív elemek beépítésével, pl. : ikonok, videók vagy képek felhasználásával, vagy akár beépítve az adott szolgáltatás képi világába. Így nem rontják a felhasználói élményt, azonban az információ célzottan elér a felhasználóhoz. Mindezek segítségével álláspontunk szerint az a felhasználói magatartás is kiküszöbölhető, amikor nem olvassák el az érintettek a tájékoztatást, mivel az hosszú, illetve külön kattintást és "felesleges" időt igényel.
A CNIL digitális innovációs laboratóriuma (LINC) bevonásával workshopokat szervezett különböző életkorú gyermekek és szüleik számára, hogy az ő szempontjukból gondolják újra és tervezzék meg az egyes technológiákhoz kapcsolódó felhasználói felületeket. Ennek eredményeképpen új prototípus-felületek tervezésére került sor, a platformon való regisztrációtól a földrajzi helymeghatározási beállítások megváltoztatásáig, beleértve a személyes adatok kezelését is. Az eredmények esettanulmányok formájában a Data and Design by LINC platformon kerülnek publikálásra, amellyel a CNIL célja, hogy minden érintett - köztük a gyermekek is - tesztelhessék, fejleszthessék azokat.[49] Találunk közöttük okostelefon beállítására, közösségi média, online játékra vagy éppen videómegosztó alkalmazásra példát, amelyek az adott alkalmazás teljes életciklusát modellezik: a regisztrációtól, az adott szolgáltatás használatán keresztül, amikor probléma merül fel az adatkezeléssel kapcsolatban és érintetti joggyakorlásra kerül sor. Az esettanulmányok nem kizárólag az érintettek számára nyújtanak információt és ábrázolják a jó gyakorlatokat, hanem jó alapot nyújt a szolgáltatást nyújtók számára is az adott szolgáltatás megtervezéséhez és fejlesztéséhez.[50] Ez utóbbiak az átláthatóság elvével összhangban, az adatkezelés célja és a kezelt adatok körére koncentrálva az adatkezelési tájékoztató megtervezésében segítenek.
A fenti megoldások egybecsengenek a privacy by design, vagyis a beépített adatvédelem követelményével.[51] Ezen követelménynek megfelelően az MI-rendszerek fejlesztői már a tervezési szakaszban ki kell dolgozzák a technológia működésével kapcsolatos és könnyen kezelhető adatvédelmi beállításokat, valamint különösen kiskorú felhasználók esetén alapértelmezett beállításként bizonyos funkciókat (pl. geolokáció, beszélgetések mentése, biometrikus adatok gyűjtése) ki kell kapcsolniuk a rendszerben.
A 7. számú ajánlás a gyermek életkorának és a szülői hozzájárulás ellenőrzésére koncentrál. Az életkor ellenőrzésének szükségességét a GDPR 8. cikk (2) bekezdése implicit módon tartalmazza azáltal, hogy meghatároz egy korhatárt, amely felett a gyermekek bizonyos esetekben érvényesen hozzájárulhatnak saját adataik kezeléséhez. Az Európai Adatvédelmi Testület hozzájárulásról szóló iránymutatásában hangsúlyozta: a GDPR értelmében az online szolgáltatóknak kötelezettségük az életkor és a szülői hozzájárulás "megfelelő" ellenőrzése. Az ellenőrzés érdekében "ésszerű erőfeszítéseket" kell tenniük az
- 245/246 -
adatkezelőknek, "figyelembe véve a rendelkezésre álló technológiákat", a javasolt adatkezelés jellegét és a kapcsolódó kockázatokat. A Testület hangsúlyozta továbbá az arányosság elvét, amely kockázatelemzésen alapul, az adattakarékosság elvével összhangban.[52]
A CNIL azt javasolja, hogy az életkor-ellenőrzést és a szülői hozzájárulást minden egyes esetben követeljék meg a szolgáltatók, ezzel párhuzamosan viszont szabadon lehessen a digitális megoldásokat használni anélkül, hogy minden esetben sor kerülne teljes személyazonosításra.[53]
A CNIL álláspontja szerint az életkor-ellenőrzés során a következő szabályokat kell betartani. Az arányosság elvének megfelelően az életkor-ellenőrzési rendszer kiválasztásakor az online szolgáltatást nyújtóknak mérlegelniük kell az adatkezelés tervezett céljait, a célközönséget, a kezelt adatokat, a rendelkezésre álló technológiákat és az adatkezeléssel kapcsolatos kockázati szintet. Az arcfelismerés a CNIL megítélése szerint aránytalan. Az adattakarékosság elvének jegyében minden rendszert úgy kell megtervezni, hogy a személyes adatok gyűjtését az életkor-ellenőrzéshez feltétlenül szükséges mértékre korlátozza, és az ellenőrzés befejezése után az adatokat törölje. Kiemelten fontos a célhoz kötöttség elve, vagyis az ellenőrzéshez szükséges személyes adatok nem használhatók fel más célokra, beleértve a kereskedelmi célú felhasználást is.[54] Az ezen követelményeknek való megfelelés szempontjából azokat az életkor-ellenőrzési rendszereket érdemes előnyben részesíteni, ahol nem maga a technológia szolgáltatója üzemelteti azt. Ezzel szemben egy megbízható harmadik fél közreműködésén alapul, aki az érintett személyazonosságát és státuszát (szülői felügyeleti jogkörrel való rendelkezés) képes ellenőrizni. Az életkor igazolás továbbítására a CNIL azt ajánlja, hogy független harmadik féltől származó hitelesítő eszközt használjanak, amely az érintett egyén ellenőrzése alatt áll.[55]
A CNIL 8. számú ajánlása külön biztosítékokat javasol a gyermekek érdekeinek védelme céljából a beépített adatvédelem kívánalmával összhangban. Ezek közül az első alapértelmezetten a szigorúbb adatvédelmi beállítások alkalmazását szorgalmazza, amely magában foglalja az alapszolgáltatáshoz nem tartozó, kiegészítő funkciók alapértelmezés szerinti letiltását. Így egy online játékoldal esetében pl. a fiók létrehozása és a weboldal használata az alapszolgáltatás részét képezi, míg a földrajzi helymeghatározás kiegészítő opció lehet. A gyakorlatban a legtöbb gyermek, akárcsak a legtöbb felnőtt, nem változtatja meg az alapértelmezett beállításokat. A szolgáltatás (applikáció, weboldal vagy egyéb digitális szolgáltatás) tervezője által hozott kezdeti döntések ezért döntő fontosságúak.[56]
- 246/247 -
A második biztosíték a gyermekek profilozásának megelőzésére koncentrál. Kiemelendő, hogy a GDPR önmagában nem tiltja a gyermekek viselkedéséről történő profilalkotást, azonban kiemeli a különleges védelem szükségességét.[57] A profilalkotáson alapuló automatizált döntéshozatal nem vonatkozhat gyermekekre,[58] amely a gyakorlatban MI alapú algoritmus segítségével a leghatékonyabb.[59]
A profil alapján kialakított célzott szolgáltatások lehetővé teszik a természetes vagy jogi személyek ("célzók") számára, hogy kereskedelmi, politikai vagy egyéb érdekek érvényesítése céljából konkrét üzeneteket közvetítsenek az adott technológia, pl. egy közösségi média platform felhasználói számára. A célzás megkülönböztető jellemzője a vélt egyezőség a megcélzott személy vagy csoport és a célzott üzenet között. Az alapfeltevés az, hogy minél nagyobb ez az egyezőség, annál magasabb a befogadási arány (konverzió), és így annál hatékonyabb a célzási kampány (a befektetés megtérülése).[60] Az Európai Adatvédelmi Testület 8/2020-as iránymutatásában kiemelte: a célzás potenciálisan negatív hatásai lényegesen jelentősebbek, ha a természetes személyek kiszolgáltatottabb kategóriái, pl. gyermekek érintettek. A célzás befolyásolhatja a gyermekek személyes preferenciáit és érdekeit, ami végső soron hatással van autonómiájukra és a fejlődéshez való jogukra.[61]
Ennek megfelelően a gyermekekről történő profilalkotást javasolt azokra az esetekre korlátozni, amikor az ténylegesen a gyermek mindenek felett álló érdekét szolgálja. Ezzel nem ellentétes, sőt azt erősíti az Ajánlásokat megelőző nyilvános konzultáción a gazdasági szereplők által felhozott érvek egy része is. Ebben lehetséges előnyként jelölték meg, hogy a létrehozott profil alapján és a célzott megkeresés segítségével biztosítható, hogy a kiskorú kizárólag az életkorának megfelelő termékekhez, szolgáltatásokhoz és tartalmakhoz férhessen hozzá.[62]
A harmadik biztosíték a gyermekek személyes adatainak kereskedelmi vagy reklámcélú újrafelhasználásának és harmadik fél részére történő továbbításának elkerülése. Ennek körében a CNIL visszautal az ENSZ 25. számú Általános Kommentárjára, amely szerint a gyermekeket védeni kell a digitális környezettel kapcsolatos, jólétük bármely aspektusát sértő kizsákmányolás minden formájától. A gyermekek a digitális tartalmak létrehozásával és megosztásával gazdasági szereplőkké válhatnak a digitális környezetben, ami a kizsákmányolásukat eredményezheti.[63] Ehhez a CNIL javasolja az adatkezelők számára a szigorúbb adatvédelmi beállítások elfogadását, így alapértelmezetten kapcsolják ki a gyermekekre vonatkozó profilalkotó rendszereket, különösen a célzott reklámozás céljából; ne használják fel újra vagy ne adják át harmadik félnek a gyermekek adatait
- 247/248 -
kereskedelmi vagy reklámcélokra, kivéve, ha bizonyítani tudják, hogy a gyermek mindenek felett álló érdekét szolgáló kényszerítő okokból járnak el.[64]
Összességében a francia hatóság a GDPR elvont fogalmait és elveit konkretizálta az IKT technológiákra vetítve a gyermekkorúakat védő intézkedések formájában. A következőkben a CNIL egy másik jelentős ajánláscsomagját vizsgáljuk, amely az uniós MI rendelet elfogadására tekintettel született.
Az MI uniós szabályozásának hatására a CNIL 2026 elején bocsátotta ki ajánlásait a compliance, vagyis az MI-rendszerek fejlesztésének adatvédelmi megfelelősége érdekében.[65] A fejlesztési szakasz magában foglalja az MI-rendszer élesítését megelőző összes lépést: a rendszertervezést, az adatkészlet létrehozását és a modell betanítását. Az ajánlások az Európai Unió MI rendeletére (AI Act, továbbiakban MI rendelet)[66] figyelemmel készültek. Így, amennyiben személyes adatokat használnak egy MI-rendszer fejlesztéséhez, mind az uniós GDPR, mind az MI rendelet alkalmazandó, a CNIL ajánlásai pedig következetesen kiegészítik ezeket a jogszabályokat. Mindebből az is következik, hogy amennyiben nem kerül személyes adat az MI modell által kezelt adatok körébe, vagy az adat anonimizált, a GDPR rendelkezései nem alkalmazandók.[67]
A GDPR értelmében az adatkezelő az adatkezelési folyamat megtervezése során először az adatkezelés jogszerű célját kell meghatározza.[68] Az MI fejlesztésekor szintén ez az első lépés, amely lehetővé teszi a képzéshez felhasználható (személyes) adatok körének meghatározását és korlátozását, hogy ne kerüljön sor felesleges adatok kezelésére. Ezt a célt a MI projekt meghatározásakor kell rögzíteni. A célnak egyértelműnek kell lennie, ismertnek és érthetőnek, valamint jogszerűnek, és összhangban kell állnia a szervezet feladataival. Olykor felmerül az a kifogás, hogy a cél meghatározásának követelménye összeegyeztethetetlen az MI-modellek képzésével, amelyek működésük során további, előre nem látható jellemzőket fejleszthetnek ki. Azonban álláspontunk szerint ez nem feltétlenül igaz, a célt ugyanis mindig az MI kontextusához kell igazítani.[69]
Az általános felhasználású MI-rendszerek estében sem lehet a célt túlságosan tágan és általánosítva meghatározni, hiszen az szembe menne a GDPR 5. cikk (1) bekezdés b) pontjában
- 248/249 -
foglalt meghatározott és egyértelmű adatkezelési cél előírásával.[70] Ekkor utalni kell a tervezett rendszer "típusára", pl. egy nagy nyelvi modell vagy egy generatív MI-rendszer fejlesztésére képek, videók, hangok, számítógépes kódok stb. számára, valamint a technikailag megvalósítható funkciókra és képességekre. Jó gyakorlat, amikor a kockázattal járó, előre látható képességeket adja meg az adatkezelő, illetve melyek a tervezés során kizárt funkciók, továbbá az MI-rendszer használati feltételei (pl. a modell nyílt forráskódú terjesztése, API-n keresztüli elérhetőség stb.).[71] A kifejezetten tudományos kutatási célú MI, amely dokumentált, publikálásra szánt tudományos megközelítés keretében valósul meg, kutatási célnak minősülhet. Ekkor, mivel kezdetben nehéz pontosan meghatározni a célt, elegendő egy kevésbé részletes célkitűzést megfogalmazni, a kutatás előrehaladtával pedig további információkkal pontosíthatja ezt a célt az adatkezelő.
A kezelt adatok köre a meghatározott adatkezelési céllal összefüggésben konkretizálható. MI-rendszerek alkalmazása esetén gyakran két forrásból is származhatnak személyes adatok: egyrészről, amikor a felhasználó maga adja azt meg a technológia használata során, a másik, amikor már eleve online módon elérhető, korábban közzétett adatokat ér el a technológia. Ez a kérdés kiskorú érintett esetében különösen jelentős, mivel az első esetben az életkora alapján a szülői felügyelet gyakorlójának közös hozzájárulásával gyűjtheti be az adatokat a MI-rendszert fejlesztő. A második esetben azonban már közzétett, elérhető adatokról van szó, amely adatok további, más célra történő felhasználása komoly adatvédelmi aggályokat vet fel. Ekkor figyelembe kell venni az adatok nyilvánosan hozzáférhető jellegét, a forráswebhelyek kontextusát és jellegét (pl. közösségi média, online fórumok), a közzétett tartalom típusát, valamint az érintett és az adatokat közzétevő közötti kapcsolatot. A további, eltérő célú felhasználás szintén csak egyértelmű cél és jogalap mentén történhet. Ennek megítéléséhez a GDPR kínál megfelelőségi-tesztet:
- az eredeti cél és az MI betanításához szükséges adatállomány létrehozásának célja közötti kapcsolat megléte;
- a személyes adatok gyűjtésének körülményei;
- az adatok típusa és jellege;
- az érintettekre gyakorolt lehetséges következmények;
- a megfelelő garanciák megléte.[72]
Az MI-rendszerek kapcsán megfontolandó a pszeudonomizált, az anonimizált, valamint a szintetikus adatok felhasználása, amelyek ez utóbbi garanciák körébe sorolhatók.[73]
A következő lépés az adatkezelési szerepkörök meghatározása, amely a felelősség mértékét is lehatárolja. Az MI rendelet több szerepkört is meghatároz: az MI-rendszer szolgáltatója, aki rendszert fejleszt vagy fejlesztett, és azt saját nevében vagy védjegye alatt forgalomba hozza vagy üzembe helyezi, akár térítés ellenében, akár ingyenesen; a
- 249/250 -
rendszerek importőrei, forgalmazói, felhasználói és alkalmazói (üzemeltetői).[74] A felelősség mértéke az adatkezelői vagy adatfeldolgozói pozíció függvényében alakul, és esetről-esetre vizsgálandó,[75] vagyis attól, hogy kinek áll módjában az adatkezeléssel kapcsolatos legfontosabb döntéseket meghozni.
A céllal összefüggésben ezután a megfelelő jogalap kiválasztására kell sor kerüljön a GDPR 6. cikkében foglalt lehetséges jogalapok közül. Az MI-rendszerek alkalmazásához érvényes hozzájárulás[76] beszerzése a gyakorlatban gyakran problémás, emellett az érintett hozzájárulása bármikor, indokolás nélkül visszavonható.[77] A magánszféra szereplői számára az egyik legmegfelelőbb jogalap a jogos érdek,[78] ehhez azonban meg kell vizsgálniuk, hogy teljesítik-e annak feltételeit. Ehhez érdekmérlegelési tesztet kell elkészíteniük, amelyben igazolni kell az érvényesített érdek jogos mivoltát, azaz, hogy az törvényes, pontosan és egyértelműen meghatározott. Emellett, hogy a személyes adatok valóban szükségesek a rendszer tanításához, hiszen nem mindig lehetséges kizárólag olyan adatok felhasználása, amelyek nem természetes személyekre vonatkoznak, vagy anonim adatok. A jogos érdek alkalmazásához az érdekmérlegelés eredménye azt kell mutassa, hogy a személyes adatok kezelése nem jár "aránytalan hatással" az egyének magánéletére nézve. Amennyiben az érdekmérlegelés ellenkező eredményre jut, abban az esetben ily módon az adatkezelés nem valósítható meg és módosítani kell a célkitűzést. A közszféra szereplőinek ellenőrizniük kell, hogy az adatkezelés összhangban áll-e a jogszabályban előírt közfeladatukkal, és hogy az releváns és megfelelő módon hozzájárul-e a közérdek szolgálatához. A jogalapok körében a szerződés teljesítése[79] és a jogi kötelezettségre[80] hivatkozás csak kivételesen alkalmazandó MI-rendszerekre. Az első esetben a technológia használatának szoros összefüggésben kell lennie a szerződés teljesítésével és ahhoz kell elengedhetetlenül hozzájárulnia, míg a második esetben kifejezett jogszabályi előírás szükséges a technológia használatára.
A fentiekhez szorosan kapcsolódik a webes adatgyűjtés, az ún. webscraping, amely önmagában nem tiltott a GDPR szerint. A webes adatgyűjtés az adatok internetről történő rendszeres összegyűjtésének és strukturálásának kifinomult módszere. Olyan tevékenység, amely során HTTP-protokollok vagy böngészők segítségével adatokat gyűjtenek a világhálóról, majd azokat könnyen elemezhető adatkészletté alakítják át. A folyamat során olyan szoftveres "ügynököket" használnak, amelyeket webrobotoknak is neveznek, hogy szimulálják a böngészést és az információk lekérését a weboldalakról.[81] Az adattakarékosság elve alapján ilyen megoldások alkalmazása során előre meg kell határozni, hogy milyen típusú adatokat kívánnak gyűjteni, a szükséges mennyiségű adatra kell szorítkozni, és ami nem szükséges törölni kell. Emellett tilos adatokat gyűjteni olyan web-
- 250/251 -
helyekről, amelyek jogi vagy technikai védelmi intézkedésekkel (pl. felhasználási feltételek vagy ún. captcha-k vagy robots.txt fájlok) akadályozzák a weboldalakról történő automatizált adatgyűjtést.
A magánszféra adatkezelői a jogos érdek jogalapára hivatkozva alkalmazhatják a webes adatgyűjtést, feltéve, hogy megfelelő garanciákat vezetnek be, amelyek gyermek érintettek esetében kiemelkedő fontossággal bírnak. Ezen garanciák közé tartozik, amikor eleve kizárják az automatizált adatgyűjtést tiltó weboldalakat, vagy azokat, amelyek érzékeny természetű adatokat tartalmaznak (pl. egészségügyi fórumok). Az adatgyűjtést a szabadon hozzáférhető tartalmakra célszerű koncentrálni, ahol az érintettek tisztában vannak adataik nyilvános jellegével, valamint az érintettek körét meghatározni életkor alapján is. Mindez a lehető legszélesebb körű tájékoztatás mellett történhet, valamint a megfelelő adatbiztonsági beállításokkal, pl. az adatokat az összegyűjtés után azonnal anonimizálni vagy pszeudonimizálni szükséges, megakadályozva a felhasználói azonosítók révén történő újbóli azonosítást.[82]
Az adatok megőrzési ideje további fontos kérdés az MI alapú szoftverek fejlesztése és működése során. A GDPR szellemében a megőrzési idő az adatkezelés céljához kell igazodjon. A fejlesztési szakaszban ezt a tényezőt is előre meg kell tervezni és rögzíteni, a leteltét követően az adatot törölni kell. Ugyanakkor az MI modell karbantartása vagy fejlesztése céljából megőrizhetők a tanítóadatok, ha megfelelő adatbiztonsági megoldásokat alkalmaznak (szeparált támogatás, a hozzáférés kizárólagos korlátozása a hozzáférésre jogosult személyekre stb.). A tanítóadatok megőrzése megkönnyítheti az ellenőrzések elvégzését és bizonyos torzítások mérését. Ilyen esetekben az adatok hosszabb ideig történő megőrzése is indokolt, kivéve, ha az adatokra vonatkozó általános információk megőrzése elegendő.[83]
A GDPR 13-14. cikkei szerinti adatkezelési tájékoztatás jelentőségét a korábbiakban már kifejtettük. Az MI rendelet 53. cikk (1) bekezdés d) pontja előírja, hogy az általános célú MI-rendszerek szolgáltatóinak részletes összefoglalót kell készíteniük a modell tanításához felhasznált tartalomról.[84] A tájékoztatásnak a CNIL szerint arra is ki kell terjednie, hogy a személyes adat törölhető-e az MI modellből. A CNIL azt javasolja, hogy az adatkezelő egyértelműen határozza meg a tanítóadatok közül a kizárólag az MI módosításával kinyerhető adatköröket és az ezzel kapcsolatos kockázatot. Továbbá a kockázatok csökkentése érdekében végrehajtott intézkedéseket, és az ilyen kockázatok bekövetkezése esetén rendelkezésre álló jogorvoslati mechanizmusokat.[85] A tájékoztatás mellett a további érintetti jogok biztosítása a GDPR-ral összhangban történik, ahol a kiskorúak joggyakorlásával kapcsolatos dilemmákat az 1. pontban tárgyaltuk. Amennyiben az érintett nem azonosítható be, az adatkezelő nem köteles további adatokat bekérni az érintett azonosítása és így az érintetti joggyakorlás biztosítása érdekében.[86]
- 251/252 -
További alapvető kötelezettség az MI-rendszer adatbiztonsági megfelelőségét garantálni, amelyhez szorosan kapcsolódik a GDPR 35. cikke szerinti adatvédelmi hatásvizsgálat elvégzése.[87] Az ugyanezen cikk (4) bekezdése alapján a magyar adatvédelmi hatóság (NAIH) által kiadott ún. hatásvizsgálati lista 2., 19. és 20. pontjai fókuszálnak a gyermekek személyes adatainak kezelésére.[88] Ezek önmagukban is magas kockázattal járó adatkezelési esetek, amelyek mindegyike MI-vel is megvalósítható. A 21. pont kifejezetten az új technológiai megoldások használatával járó megjelölt adatkezelési műveleteket foglalja magában, amelybe az MI-rendszerek is tartoznak.
A CNIL szerint erősen ajánlott hatásvizsgálatot végezni az MI-rendszer fejlesztése során, különösen akkor, ha a következő kritériumok közül kettő teljesül:
- személyes adatokat gyűjtenek nagy mennyiségben;
- érzékeny természetű adatokat gyűjtenek;
- kiszolgáltatott helyzetben lévő érintettek (kiskorúak, fogyatékossággal élő személyek stb.) adatait gyűjtik;
- adatkészleteket kereszteznek vagy egyesítenek;
- új technológiai megoldásokat vezetnek be, vagy innovatív módon alkalmazzák azokat.
Ezek az esetek egybeesnek a NAIH listáján található magas kockázatú tevékenységekkel. Ezen felül, ha jelentős kockázatok állnak fenn (pl. adatokkal való visszaélés, adatvédelmi incidens vagy diszkrimináció), akkor is el kell végezni a hatásvizsgálatot, még akkor is, ha a fenti kritériumok közül csak egy feltétel teljesül.[89] A CNIL álláspontja szerint az MI rendelet hatálya alá tartozó, személyes adatokat érintő, magas kockázatú rendszerek fejlesztése esetén minden esetben kötelező a hatásvizsgálatot elvégezni. Ennek elkészítése az MI rendeletben előírt dokumentációra is alapulhat,[90] feltéve, hogy az tartalmazza a GDPR 35. cikk előírt elemeket.
A következőkben az eddig tárgyalt ajánláscsomagokban megfogalmazott javaslatokat vetítjük a gyermekek által is elérhető MI alapú megoldásokra, és értékeljük azok adatvédelmi megfelelőségét.
Az EU MI rendelete és a francia CNIL megközelítése alapján a gyermekek által használt MI-rendszerek adatvédelmi és alapjogi kockázatait nem pusztán technológiai kategóriák, hanem kockázati szintek alapján kell értékelni.[91] A fentiekben megállapításra került: a
- 252/253 -
gyermekek esetében a szabályozás kiindulópontja, hogy ők különösen sérülékeny érintetti csoportot képeznek, ezért az MI-alkalmazásokkal kapcsolatos kockázatok náluk erősebben jelentkeznek, és fokozott védelmet igényelnek.
A legmagasabb kockázati kategóriába az elfogadhatatlan kockázatú MI gyakorlatok tartoznak, amelyek az EU-ban tiltottak.[92] Ezek közé sorolhatók azok az MI-alkalmazások, amelyek képesek a gyermekek viselkedésének manipulálására vagy sérülékenységük kihasználására. Ilyenek lehetnek pl. bizonyos MI-alapú játékok vagy chatbotok, amelyek pszichológiai technikákkal ösztönözhetik a gyermeket káros döntésekre vagy túlzott használatra. A gyermekek még nem rendelkeznek a szükséges kritikai képességekkel ahhoz, hogy felismerjék a manipulációt, így az ilyen technológiák közvetlenül sérthetik az autonómiájukat és jólétüket. Hasonlóan ide tartoznak a biometrikus megfigyelést alkalmazó rendszerek, pl. arcfelismerés iskolai környezetben, valamint az érzelemfelismerő MI-megoldások, amelyek a gyermekek hangulatát vagy figyelmét próbálják elemezni.[93] Ezek az alkalmazások nemcsak adatvédelmi, hanem emberi méltósággal és magánélettel kapcsolatos aggályokat is felvetnek, ezért az uniós szabályozás kifejezetten korlátozza vagy tiltja őket, különösen oktatási környezetben.[94]
A következő szintet az ún. nagy kockázatú MI-rendszerek alkotják, amelyek nem tiltottak, de szigorú jogi és technikai követelményeknek kell megfelelniük. A gyermekek szempontjából ebbe a kategóriába tartoznak elsősorban az oktatási célú MI-alkalmazások. Az adaptív tanulási rendszerek, a teljesítményértékelő algoritmusok vagy az automatizált vizsgáztatási eszközök mind olyan rendszerek, amelyek közvetlen hatással vannak a gyermek fejlődésére és jövőbeli lehetőségeire. E rendszerek jelentős mennyiségű adatot gyűjtenek a tanulók viselkedéséről, teljesítményéről és képességeiről, majd ezek alapján profilokat hoznak létre. A kockázat abban rejlik, hogy az ilyen profilok leegyszerűsíthetik vagy torzíthatják a gyermek képességeiről alkotott képet, és akár hosszú távon is befolyásolhatják az iskolai előmenetelét. A CNIL és az uniós szabályozás ezért előírja, hogy az ilyen megoldások esetében biztosítani kell az átláthatóságot, az emberi felülvizsgálat lehetőségét, valamint az adatminimalizálást.[95]
Szintén a nagy kockázatú kategóriába sorolhatók az MI-vel felszerelt "okos játékok" és interaktív eszközök, amelyek gyakran hangfelismerést, viselkedéselemzést vagy személyre szabott reakciókat alkalmaznak. Ezek az eszközök folyamatosan adatokat gyűjthetnek a gyermekekről, miközben a felhasználók sokszor nincsenek tudatában annak, hogy milyen mértékű adatkezelés zajlik a háttérben. A kockázat itt kettős: egyrészt adatvédelmi (milyen adatokat gyűjtenek és hogyan használják fel), másrészt pszichológiai (milyen hatással van a gyermekre egy "intelligens" játék, amely reagál és alkalmazkodik hozzá).[96]
A harmadik csoportot a formálisan alacsonyabb vagy korlátozott kockázatú MI-rendszerek tartoznak, amelyek gyermekek esetében mégis jelentős adatvédelmi és etikai problémákat vethetnek fel. Ide sorolhatók a generatív MI-rendszerek, pl. chatbotok és képgenerátorok. Ezek általában nem tartoznak a szigorúan szabályozott kategóriák közé,
- 253/254 -
azonban működésük során gyakran kezelnek személyes adatokat. Gyermekek esetében különösen problémás lehet, hogy hajlamosak bizalmas adatokat megosztani egy "beszélgető" rendszerrel, miközben nem értik, hogy ezek az adatok hogyan kerülhetnek felhasználásra vagy tárolásra.
Hasonlóan ide tartoznak az MI-alapú ajánlórendszerek, amelyek pl. videómegosztó platformokon működnek. Ezek az algoritmusok a felhasználói viselkedés elemzésével személyre szabott tartalmakat ajánlanak, ami gyermekek esetében könnyen vezethet túlzott használathoz vagy egyoldalú tartalomfogyasztáshoz. Bár ezek a rendszerek nem feltétlenül tiltottak vagy magas kockázatúak jogi értelemben, a gyermekek sérülékenysége miatt komoly adatvédelmi kérdéseket vetnek fel, különösen a profilalkotás és a viselkedés befolyásolása terén.
Megállapítható, hogy a gyermekek által használt MI-alkalmazások közül azok jelentik a legnagyobb kockázatot, amelyek egyszerre képesek intenzív adatgyűjtésre, profilalkotásra és a viselkedés befolyásolására. A legszigorúbb tiltás alá a manipulációt és megfigyelést megvalósító rendszerek esnek, míg az oktatási és profilalkotó MI-megoldások szigorú kontroll mellett működhetnek. A generatív MI-k és ajánlórendszerek ugyan kevésbé szabályozottak, de a gyermekek sajátos helyzete miatt ezek esetében is kiemelt jelentősége van az adatvédelmi garanciáknak. Ez a többszintű megközelítés jól mutatja, hogy az adatvédelemben nem maga a technológia típusa a döntő, hanem az, hogy az adott rendszer milyen mértékben érinti a gyermekek jogait, autonómiáját és fejlődését.
A kérdésre, miszerint barát vagy ellenség egy MI alapú megoldás, összességében a következő válasz adható. A gyermekek személyes adataira nézve az ellenség attribútumait hordozó MI technológia az adatvédelmi garanciák érvényesítésével "szelídíthető" baráttá, vagyis hatékony eszközzé. Az MI-rendszerek beláthatatlan előnyeit csak akkor tudják a digitális generációk maximálisan kiaknázni, ha a javasolt adatvédelmi és adatbiztonsági biztosítékokat minden MI fejlesztő már a technológia tervezésekor beépíti a rendszerbe.
Tanulmányunk központi kérdése, hogy az MI a gyermekek szempontjából inkább kockázatot vagy lehetőséget jelent-e, amelyre a választ az adatvédelmi garanciák szerepének vizsgálatán keresztül nyerhetünk. Kiindulópontunk az volt, hogy az MI napjainkra a digitális környezet meghatározó elemévé vált, amely a gyermekek életének szinte minden területén jelen van a tanulástól a szórakozásig. Mivel az MI működésének alapja az adat, a kiskorúak különösen sérülékeny helyzetbe kerülnek, hiszen gyakran már egészen korán és nagy mennyiségben kerülnek róluk személyes adatok a digitális térbe, gyakran anélkül, hogy ennek következményeit átlátnák.
Az uniós adatvédelmi keretrendszer, a GDPR, a gyermekeket kiemelt védelemben részesíti, mivel ők kevésbé képesek felismerni az adatkezelés kockázatait. Ezt a védelmet konkretizálják a CNIL ajánlásai, amelyek gyakorlati útmutatást adnak az MI-rendszerek fejlesztőinek és üzemeltetőinek. Ezek közé tartozik pl. a szülői hozzájárulás szerepének pontosítása, a gyermekek érthető tájékoztatása, a digitális tudatosság erősítése, valamint
- 254/255 -
az olyan technikai megoldások alkalmazása, mint a beépített adatvédelem és az alapértelmezetten szigorú adatkezelési beállítások. Kiemelt jelentőségű, hogy a gyermekek nem csupán passzív alanyai az adatkezelésnek, hanem fokozatosan képessé kell válniuk saját jogaik gyakorlására is. Ehhez azonban elengedhetetlen a megfelelő edukáció, mind a gyermekek, mind a szülők számára. Ugyanakkor a túlzott kontroll, pl. a folyamatos digitális megfigyelés, szintén problémás lehet, mert sértheti a gyermek autonómiáját és magánéletét.
A tanulmány második része az MI-rendszerek fejlesztésének adatvédelmi megfelelőségére fókuszál. Kiemelendő, hogy már a tervezési szakaszban világosan meg kell határozni az adatkezelés célját, a felhasznált adatokat a szükségesre kell korlátozni és megfelelő jogalapot kell választani. Az olyan gyakorlatok, mint a webes adatgyűjtés vagy a nagyméretű adatkészletek használata, csak szigorú feltételek mellett elfogadhatók, különösen akkor, ha gyermekek adatai is érintettek. Emellett kulcsfontosságú az adatbiztonság, a megőrzési idő korlátozása és az adatvédelmi hatásvizsgálatok elvégzése.
A kockázatok elemzése során a tanulmány rámutat, hogy nem minden MI-alkalmazás jelent azonos veszélyt. A legnagyobb kockázatot azok a rendszerek hordozzák, amelyek manipulálják a gyermekek viselkedését vagy kihasználják sérülékenységüket, ezek az uniós MI rendelet értelmében tiltottak. A magas kockázatú rendszerek, így az oktatási algoritmusok vagy az okos játékok, szigorú feltételek mellett működhetnek, míg az alacsonyabb kockázatú megoldások, mint a chatbotok vagy ajánlórendszerek, szintén komoly adatvédelmi kérdéseket vetnek fel a gyermekek sajátos helyzete miatt.
Összességében megállapítható, hogy az MI önmagában nem tekinthető sem "barátnak", sem "ellenségnek". A kulcs az, hogy milyen feltételek mellett alkalmazzák: megfelelő adatvédelmi és -biztonsági garanciák mellett az MI hatékony és hasznos eszközzé válhat a gyermekek számára is, ezek hiányában viszont komoly kockázatokat hordoz. A jövő tehát azon múlik, hogy a fejlesztők mennyire képesek már a tervezés során beépíteni a javasolt védelmi mechanizmusokat.
In our study, we examine the current recommendations of the French data protection authority (CNIL) regarding the use of artificial intelligence (AI) to address the implications for children's data protection. Since the GDPR came into effect, its activities, which specifically target raising data protection awareness among minors and data controllers, have served as a model. The EU's data protection regulation, the GDPR, provides children with special protection, as they are less able to recognize the risks associated with data processing. This
- 255/256 -
protection is further specified in the CNIL's recommendations, which provide practical guidance to developers and operators of AI systems. These include, for example, clarifying the role of parental consent, providing children with understandable information, strengthening digital awareness, and implementing technical solutions such as data protection by design and strict data processing settings by default. It is of particular importance that children are not merely passive subjects of data processing but must gradually become capable of exercising their own rights. The second part of the paper focuses on the data protection compliance of AI system development, involving the EU AI Act into the scope of the analysis. It is emphasized here that the purpose of data processing must be clearly defined as early as the design phase, the data used must be limited to what is necessary, and an appropriate legal basis must be selected. Practices such as web scraping or the use of large datasets are acceptable only under strict conditions, particularly when children's data is involved.
Overall, AI cannot be considered either a "friend" or an "enemy." The crucial factor is the way it is used: with appropriate data protection and security safeguards in place, AI can become an effective and useful tool even for children; without them, however, it poses serious risks. The future therefore depends on the extent to which developers are able to incorporate the protective measures recommended in the study already during the design phase. ■
JEGYZETEK
* A kutatást a Szegedi Tudományegyetem Interdiszciplináris Kutatásfejlesztési és Innovációs Kiválósági Központ (IKIKK) Humán és Társadalomtudományi Klaszterének Digitális Társadalom Kompetenciaközpontja támogatta. Szerző a Mesterséges intelligencia és a jogrend kutatócsoport helyettes-vezetője és tagja.
[1] Tanulmányunkban adatvédelmi hatóság alatt az Európai Unió általános adatvédelmi rendeletének (GDPR) 51. cikk (1) pontja szerinti, a rendelet alkalmazásának ellenőrzéséért felelős tagállami független felügyeleti hatóságot értjük.
[2] Dartmouth Proposal: A proposal for the Dartmouth Summer Research Project on Artificial Intelligence. August 31 1955. John McCarthy's homepage: https://www-formal.stanford.edu/jmc/history/dartmouth/dartmouth.html
[3] Kaur, Arvinder - Kumar, Yugal - Kumar Singh, Pradeep: Clustering IoT Data Using Machine Learning Methods: A Survey. In.: Neustein, Amy - Mahalle, Parikshit N. - Joshi, Prachi - Shinde, Gitanjali Rahul (szerk.): AI, IoT, Big Data and Cloud Computing for Industry 4.0. Springer, 2023. 55. p.
[4] A mesterséges intelligencia kialakulásáról és részletes jellemzőiről l. Váradi Szilvia: Adatvédelem a mesterséges intelligencia korában. Wolters Kluwer, Budapest, 2024. 1. és 2. fejezet.
[5] Palaiologou, Ioanna: Children under five and digital technologies: implications for early years pedagogy. European Early Childhood Education Research Journal. 2016/1. 9. p.
[6] Váradi Szilvia: A gyermekek személyes adatainak védelme az ENSZ keretében a feltörekvő technológiák korában. FORVM: Acta Juridica et Politica 2026/1.
[7] Darwiche, Adnan: Human-Level Intelligence or Animal-Like Abilities? Communications of the ACM. 61(10) 2018. 62. p.
[8] Váradi, 2026.
[9] Váradi, 2024. 4. fejezet.
[10] Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) HL L 119, 4. 5. 2016. 1-88. pp.
[11] Az EGT Vegyes Bizottság 154/2018 határozata (2018. július 6.) az Európai Gazdasági Térségről szóló megállapodás XI. mellékletének (Elektronikus hírközlés, audiovizuális szolgáltatások és információs társadalom) és 37. jegyzőkönyvének (a 101. cikkben hivatkozott listáról) módosításáról [2018/1022] HL L 183., 2018. 7. 19., 23-26. pp.
[12] Voigt, Paul - von dem Bussche, Axel: Scope of Application of the GDPR. In.: The EU General Data Protection Regulation (GDPR). Springer. Cham, 2024. 11-12. pp.
[13] GDPR (38) preambulumbekezdés.
[14] Tanulmányunkban MI-rendszer alatt az Európai Unió MI rendeletének 3. cikk 1. pontjában meghatározott fogalmat értjük.
[15] Rashed, Mohammed - Essa, Yasser: Assessing Compliance in Child-Facing High-Risk AI IoT Devices: Legal Obligations Under the EU's AI Act and GDPR. Telecom 6(4). 2025. 6. p.
[16] A francia adatvédelmi hatóság honlapja, CNIL: Ajánlások. Angol nyelven publikálva: 2021 augusztus 10. https://www.cnil.fr/en/recommendation-1-regulate-capacity-children-act-online
[17] GDPR 8. cikk (3) bekezdése.
[18] Francia polgári törvénykönyv 1146. cikk.
[19] A francia adatvédelmi törvény 1978 január 6-óta van hatályban, 2018-ban több jelentős módosításon esett át az uniós adatvédelmi rendelettel való összhang megteremtése érdekében.
[20] Data Protection Laws and Regulations France 2023. 6. Children's Personal Data, Published: 20/07/2023 https://iclg.com/practice-areas/data-protection-laws-and-regulations/france
[21] CNIL: Ajánlások, 1. ajánlás. 2021 augusztus 10. https://www.cnil.fr/en/recommendation-1-regulate-capacity-children-act-online
[22] Francia polgári törvénykönyv 1148-1149. cikkek.
[23] Ezt a kivételt a magyar polgári jog a korlátozottan cselekvőképes kiskorú esetében engedi. Lásd. 2013. évi V. törvény a Polgári Törvénykönyvről (Ptk.) 2:12. § (2) b).
[24] CNIL: Ajánlások, 1. számú ajánlás.
[25] Uo.
[26] CNIL: Ajánlások, 4. számú ajánlás. https://www.cnil.fr/en/recommendation-4-seek-parental-consent-children-under-15
[27] Az ENSZ Gyermekjogi egyezményének 12. cikke szintén ezt az elvet tartalmazza. ENSZ Gyermekjogi egyezménye, Magyarországon kihirdette: 1991. évi LXIV. törvény a gyermek jogairól szóló, New Yorkban, 1989. november 20-án kelt Egyezmény kihirdetéséről.
[28] CNIL: Ajánlások, 4. számú ajánlás.
[29] CNIL: Ajánlások, 2. számú ajánlás. https://www.cnil.fr/en/recommendation-2-encourage-children-exercise-their-rights
[30] GDPR (38) preambulumbekezdés "A közvetlenül a gyermek részére nyújtott megelőzési és tanácsadási szolgáltatások esetében nincs szükség a szülői felügyelet gyakorlójának hozzájárulására."
[31] ENSZ Gyermekjogi egyezmény 12 és 16. cikkek.
[32] Committee on the Rights of the Child: General comment No. 25 (2021) on children's rights in relation to the digital environment. CRC/C/GC/25. 2 March 2021., E. Right to privacy 72.
[33] CNIL: Ajánlások, 2. számú ajánlás.
[34] CNIL: Ajánlások, 2. számú ajánlás.
[35] CNIL: Ajánlások, 3. számú ajánlás https://www.cnil.fr/en/recommendation-3-support-parents-digital-education
[36] Az Educnum közössége az oktatás, a kutatás, a digitális gazdaság, a civil társadalom, a vállalati alapítványok és más intézmények szereplőinek széles körét tömöríti. Célja a valódi "digitális polgári kultúra" előmozdítását célzó kezdeményezések támogatása. Lásd https://www.cnil.fr/fr/les-membres-du-collectif-educnum
[37] Így például a művek internetes terjesztésével és a jogok védelmével foglalkozó főhatósággal (HADOPI), az Audiovizuális Főtanáccsal, a francia Oktatási Minisztérium folyamatos támogatásával.
[38] CNIL: Ajánlások, 5. számú ajánlás. https://www.cnil.fr/en/recommendation-5-promote-parental-controls-respect-childs-privacy-and-best-interests
[39] CNIL: Ajánlások, 5. számú ajánlás.
[40] Gorin, Jérôme - Béri, Martin - Brocas, Côme: Demonstration of a privacy-preserving age verification process. Laboratoire d'Innovation Numérique de la CNIL. 2022. https://linc.cnil.fr/demonstration-privacy-preserving-age-verification-process
[41] CNIL: Ajánlások, 6. számú ajánlás. https://www.cnil.fr/en/recommendation-6-strengthen-information-and-rights-children-design
[42] GDPR 12-14. cikkek.
[43] GDPR 12. cikk (1), GDPR (58) preambulumbekezdés.
[44] Lásd robotjátékok példája.
[45] Declaration of cooperation between the South Korean data protection authority (PIPC) and the French data protection authority (CNIL). 26 October 2022. https://www.cnil.fr/en/declaration-cooperation-between-south-korean-data-protection-authority-pipc-and-french-data
[46] Agência Nacional de Proteção de Dados: ANPD, CNIL, and PIPC promote data protection awareness among young people through manga. 28 January 2025. https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-cnil-and-pipc-promote-data-protection-awareness-among-young-people-through-manga
[47] Uo.
[48] Luguri, Jamie - Strahilevitz, Lior Jacob: Shining a Light on Dark Patterns. Journal of Legal Analysis, 13(1), 2021. 43.p.
[49] CNIL: Key Concepts: Three GDPR concepts lend themselves particularly well to the work of designers wishing to give users better control of their data. Données & Design par LINC. https://design.cnil.fr/en/concepts/
[50] Az esettanulmányokhoz lásd https://design.cnil.fr/en/case-studies/, míg a fejlesztőknek szóló fejlesztési javaslatok és példákhoz https://design.cnil.fr/en/design-patterns/
[51] GDPR 25. cikk (1) bekezdés.
[52] Az Európai Adatvédelmi Testület az eredetileg a WP29es munkacsoport WP259 rev.01 számú iránymutatását aktualizálta a GDPR alkalmazhatóvá válására tekintettel. Európai Adatvédelmi Testület: 5/2020 Iránymutatás az (EU) 2016/679 rendelet szerinti hozzájárulásról. 1.1 verzió. 2020. május 4. 32. p.
[53] CNIL: Ajánlások, 7. számú ajánlás. https://www.cnil.fr/en/recommendation-7-check-age-child-and-parental-consent-while-respecting-childs-privacy
[54] CNIL: Ajánlások, 7. számú ajánlás.
[55] CNIL: Vérification de l'âge en ligne: trouver l'équilibre entre protection des mineurs et respect de la vie privée. 26 juillet 2022. https://www.cnil.fr/fr/verification-de-lage-en-ligne-trouver-lequilibre-entre-protection-des-mineurs-et-respect-de-la-vie
[56] CNIL: Ajánlások, 8. számú ajánlás. https://www.cnil.fr/en/recommendation-8-provide-specific-safeguards-protect-interests-child
[57] GDPR (38) preambulumbekezdés.
[58] GDPR (71) preambulumbekezdés.
[59] Lásd Leijten, Eline L. - van der Hof, Simone: Dissecting the commercial profiling of children: A proposed taxonomy and assessment of the GDPR, UCPD, DSA and AI Act in light of the precautionary principle. Computer Law & Security Review 57. July 2025. 2. p.
[60] Európai Adatvédelmi Testület: 8/2020. sz. iránymutatás a közösségi média felhasználóinak megcélzásáról. 2.0. változat, 2021. április 13. 2. pont.
[61] Európai Adatvédelmi Testület: 8/2020. sz. iránymutatás. 16. pont.
[62] CNIL: Ajánlások, 8. számú ajánlás.
[63] 25. számú Általános Kommentár 112. pont.
[64] CNIL: Ajánlások, 8. számú ajánlás.
[65] CNIL: AI system development: CNIL's recommendations to comply with the GDPR. 05 January 2026. https://www.cnil.fr/fr/node/167989
[66] Az Európai Parlament és a Tanács (EU) 2024/1689 rendelete (2024. június 13.) a mesterséges intelligenciára vonatkozó harmonizált szabályok megállapításáról, valamint a 300/2008/EK, a 167/2013/EU, a 168/2013/EU, az (EU) 2018/858, az (EU) 2018/1139 és az (EU) 2019/2144 rendelet, továbbá a 2014/90/EU, az (EU) 2016/797 és az (EU) 2020/1828 irányelv módosításáról (a mesterséges intelligenciáról szóló rendelet) (EGT-vonatkozású szöveg) HL L 1689, 2024. 7. 12., 1. p.
[67] GDPR (26) preambulumbekezdés.
[68] Révész Balázs: Az adatkezelés alapelvei. In.: Péterfalvi, Attila - Révész Balázs - Buzás Péter (szerk.): Magyarázat a GDPR-ról. Wolters Kluwer Hungary. Budapest, 2018. 97. p.
[69] CNIL: AI system development: CNIL's recommendations to comply with the GDPR. 05 January 2026. https://www.cnil.fr/fr/node/167989
[70] GDPR 5. cikk (1) bekezdés b) pont.
[71] CNIL, 2026. Step 1.
[72] GDPR 6. cikk (4) bekezdés.
[73] Erről lásd: Váradi, 2024. 4. fejezet.
[74] MI rendelet (83) preambulumbekezdés, 2. cikk (1) bekezdés.
[75] Ehhez GDPR 4. cikk 7. és 8. pontjai.
[76] GDPR 6. cikk (1) bekezdés a) pont.
[77] Váradi, 2024. 4. fejezet.
[78] GDPR 6. cikk (1) bekezdés f) pont.
[79] GDPR 6. cikk (1) bekezdés b) pont.
[80] GDPR 6. cikk (1) bekezdés c) pont.
[81] Zhao, Bo: Web Scraping. In.: Schintler, Laurie A. - McNeely, Connie L. (eds.): Encyclopedia of Big Data. Springer International Publishing. Cham. 2022. 951-953. pp.
[82] CNIL, 2026. Step 3.
[83] CNIL, 2026. Step 6.
[84] MI rendelet 53. cikk (1) bekezdés d) pont.
[85] CNIL, 2026. Step 7.
[86] GDPR 11. cikk.
[87] GDPR 35. cikk.
[88] Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH): Hatásvizsgálati lista GDPR 35. cikk (4) bekezdés. https://www.naih.hu/hatasvizsgalati-lista
[89] CNIL, 2026. Focus: Carry out a Data Protection Impact Assessment (DPIA). https://www.cnil.fr/fr/node/167989
[90] MI rendelet 27. cikk: A nagy kockázatú MI-rendszerekre vonatkozó alapvetőjogi hatásvizsgálat.
[91] MI rendelet (26) preambulumbekezdés.
[92] MI rendelet (31) preambulumbekezdés.
[93] CNIL: Entry into force of the European AI Regulation: the first questions and answers from the CNIL. 12 July 2024. https://www.cnil.fr/en/entry-force-european-ai-regulation-ffirst-questions-and-answers-cnil
[94] MI rendelet 5. cikk (1).
[95] MI rendelet III. melléklet 3. pont.
[96] MI rendelet III. melléklet 1. pont b) és c).
Lábjegyzetek:
[1] A szerző egyetemi docens, SZTE Állam-és Jogtudományi Kar Nemzetközi Jogi és Európa-jogi Tanszék; https://orcid.org/0000-0001-7927-2671.
Visszaugrás
